AWS ソリューションアーキテクト プロフェッショナル多アカウントの統制と証跡オリジナル・公式資料照合難易度
ABACでセッションのdepartmentタグにより機密データを分ける。利用者がAssumeRole時に任意のdepartmentを渡せる設計の危険と対策はどれか。
A
他部署の値を名乗れるため、TagSessionの条件やIdPの信頼できる属性で許す値を制限する★ 正解
認可に使う属性の発行元と変更権限を制御しないと、タグ一致の認可が権限昇格経路になる。
B
セッションタグは暗号化されるため、誰が任意の値を渡しても安全である
送信後の保護と、許可する属性値の正しさは別の問題である。
C
IdP由来の属性でも、呼出者が追加した同名タグを常に優先させる
認可に使う属性を呼出者が別値へ置き換えられると、信頼できる属性に基づく制御を迂回できる。
D
TagSessionを無制限に許し、リソース側タグだけを変更不可にする
プリンシパル側の属性を偽装できれば、リソース側を守るだけでは一致条件を安全にしきれない。
解説
認可に使う属性の発行元と変更権限を制御しないと、タグ一致の認可が権限昇格経路になる。
根拠資料・確認情報
対応範囲：SAP-C02
資料確認日：2026-11-02
アプリ内の初回回答データ
回答データを読み込んでいます。
同じレッスンの問題
問題 1
SCPでaws:RequestedRegionが東京以外の要求をDenyすると、通常の業務で必要なIAM操作まで失敗した。リージョン制限の設計で必要な見直しはどれか。
問題 2
OrganizationsのタグポリシーでCostCenterの表記と許容値を定義し、対応リソースの強制を有効化した。タグなしリソースの作成も全件拒否できるという説明は正しいか。
問題 3
あるAWSサービスの委任管理者をメンバーアカウントに登録した。担当者は、これでOrganizationsのすべてのポリシーを自由に変更できると考えている。適切な説明はどれか。
問題 4
StackSetsで多数アカウントへ更新中に失敗許容数へ達して処理が停止した。一部のスタックは更新済みである。次の対応として適切なのはどれか。